Sichere Scan Chain und Debugschnittstelle

Cryptographic operations are more and more popular because unencrypted information is a security leakage in many application areas. Possible ways to get the secret key is the misuse of test and debug facilities. These interfaces allow a reading and writing access to all internals of the ASIC. Typically they are not protected against a misuse by a third party. In this thesis a new countermeasure against side channel attacks on scan chain and debug interfaces is proposed. The countermeasure for the scan chain interface, as well as the one for the debug interface, use the same approach, but every interface has its own security component. The approach designed and investigated in this thesis is based on a key matching method, which is resistant against reverse engineering. It is necessary from the user side, to test and debug the device, to write the secret key in an OTP. The “golden” key is embedded in specially designed units, which are used to compare the golden key with one provided in the OTP. After testing or the debugging, the key in the OTP is deleted. Even if this key is known to an attacker, it is not possible to rewrite the value into the OTP. The unit which contains golden key and compare logic is made of digital standard cells. The cells are not modified, but the wiring has a novelty. Small isolation elements from the analog circuit design are used to implement a “0” or a “1” as value for the golden key. The security feature is the resistance against optical reverse engineering because both types of the golden key and compare unit have the same footprint. Finally 128 of these units compose the 128 bit golden key. The scan chain solution is suitable for any IP core, independent of whether it is a standalone cryptographic component, a microcontroller or a very complex system on a chip. For the scan chain test the test pattern generated by the scan pattern generator can be used without any modification. The only requirement is that before the test, the secret key has to be written into the device, and after the test, the secret key has to be deleted. For a debug interface the same problem exists as for the scan chain interface. An access to the device is an open door for an attacker. As the debug interface is used in different development stages the approach is to implement several OTP lines - one per development stage for example. Additionally a mechanism for different access levels is offered. Depending of the access level different address spaces are unlocked. As shown in this thesis, the solutions for a secure scan and debug interface are easy to integrate into an existing design, while area, timing and power is not influenced significantly. The scan or debug process have to be changed only slightly and the test coverage is not affected and defect analysis is possible. To summarize in this thesis a novel and innovative approach to protect scan and debug interfaces against side channel attacks was designed and evaluated.Kryptografische Verfahren werden zunehmend eingesetzt, da unverschlüsselte Informationen in vielen Anwendungsbereichen ein Sicherheitsrisiko darstellen. Damit ein Dritter diese verschlüsselten Daten mitlesen oder gar manipulieren kann, muss er im Besitz des privaten Schlüssels sein. Diesen bekommt er entweder per Brute-force-Angriff oder versucht diesen mittels Seitenkanalangriff aus dem Gerät zu extrahieren. Ein möglicher Ansatz den geheimen Schlüssel zu erhalten, ist der Missbrauch von Test- und Debugschnittstellen. Diese Schnittstellen bieten einen lesenden und schreibenden Zugang zu allen internen Speichern eines ASICs und sind in der Regel uneingeschränkt, d.h. auch durch unbefugte Dritte, nutzbar. Somit können auch Schlüssel für kryptografische Verfahren darüber ausgelesen werden. In dieser Arbeit wird eine neuartige Gegenmaßnahme gegen Seitenkanalangriffe auf Test- und Debugschnittstellen vorgestellt. Der Ansatz basiert auf einem identischen Schlüsselpaar. Um den Chip zu testen und zu debuggen muss des Nutzer den geheimen Schlüssel in einen OTP Speicher schreiben. Dieser wird mit dem goldenen Schlüssel verglichen, welcher im Gerät in speziell entworfenen Einheiten gespeichert ist. Sind beide identisch, wird der Zugriff auf die Schnittstelle gewährt. Nach dem Abschluss von Test oder Debug, wird der Schlüssel im OTP gelöscht. Selbst wenn einem Angreifer nun dieser geheime Schlüssel bekannt sein sollte, ist es nicht möglich diesen nochmals in den OTP zu schreiben. Die Einheiten, welche den goldenen Schlüssel und die Vergleichslogik enthalten, sind mit Hilfe von digitalen Standardzellen konstruiert worden unter Verwendung einer besonders ausgeführten Verdrahtung. Dazu wurden kleine Isolationselemente aus der analogen Schaltungstechnik eingefügt. Mit diesen wird bestimmt, ob die Einheit eine 0 oder 1 enthält. Da beide Einheiten gleich aussehen, ist ein Reverse Engineering mit optischen Mitteln nicht möglich. Insgesamt werden 128 dieser Einheiten in einen Chip eingebaut, so dass der geheime Schlüssel 128 Bit lang ist. Der Schutzmechanismus kann gleichermaßen für das Scan Chain Interface als auch für die Debugschnittstelle benutzt werden. Jedoch hat jede Schnittstelle eine eigene Schutzeinheit. Die Scan Chain eines jeden Designs und IP Cores kann geschützt werden. Die dafür notwendige zusätzliche Fläche ist klein, die Taktfrequenz und die Leistungsaufnahme werden nicht nachhaltig beeinflusst. Die Debugschnittstelle eines Microcontrollers wird in verschiedenen Entwicklungsphasen genutzt. Dazu hat der OTP mehrere Einträge, so dass der Schlüssel mehrmals gesetzt werden und die Debugschnittstelle aktiviert und deaktiviert werden kann. Darüber hinaus gibt es einen adressbasierten Mechanismus für die Steuerung von Zugriffsrechten. Zusammengefasst wird in dieser Arbeit ein neuer und innovativer Ansatz zum Absichern der Test- und Debugschnittstelle vor Seitenkanalangriffen vorgestellt und evaluiert